암호화폐거래소 계정 해킹으로 비트코인 1.73개 인출, 거래소 상대 손해배상 청구

- 1 - 울 산 지 방 법 원 제 2민 사 부 판 결 사 건2020나10152 손해배상(기) 원고, 항소인A 소송대리인 법무법인 해강 담당변호사 **** 피고, 피항소인**** 대표이사 C 소송대리인 변호사 **** 소송복대리인 변호사 **** 제1심판결울산지방법원 2019. 12. 17. 선고 2019가소12087 판결 변 론 종 결2021. 7. 6. 판 결 선 고2021. 9. 14. 주 문 1. 원고의 항소를 기각한다. 2. 항소비용은 원고가 부담한다. - 2 - 청구취지 및 항소취지 제1심 판결을 취소한다. 피고는 원고에게 11,004,875원과 이에 대하여 2019. 4. 19.부 터 이 사건 소장 송달일까지는 연 5%의, 그 다음날부터 다 갚는 날까지는 연 15%의 각 비율로 계산한 돈을 지급하라. 이 유 1. 기초사실 가. 피고는 인터넷관련 소프트웨어 개발 및 제조 판매업 등을 영위하는 회사로서 온 라인 암호화폐거래소인 ‘B’을 운영하고 있고, 원고는 B에 본인 계정 및 암호화폐 보관 전자지갑(이하 ‘이 사건 계정’이라 한다)을 생성하여 비트코인(BTC) 등 암호화폐를 보 유하고 있었다. 나. 2019. 4. 18. 23:03경 이 사건 계정에서 원고가 보유하고 있던 1.72964646 BTC 가 성명불상자에 의하여 불상의 다른 암호화폐 전자지갑으로 송금되는 거래(이하 ‘이 사건 거래’라 한다)가 발생하였다. 【인정근거】(생략) 2. 원고의 주장 가. 원고와 피고 사이에 체결된 서비스 이용계약에 따르면, 피고는 원고의 B 계정에 보관되어 있는 원화포인트 또는 암호화폐를 원고를 위하여 안전하게 보관해 줄 의무를 부담한다. 이는 일종의 유상임치계약으로서, 피고는 위 보관과 관련하여 선량한 관리자 의 주의의무를 부담한다. 그런데도 피고는 개인정보 유출 방지, 해외 IP접속 차단조치, 가상화폐 출금시 OTP(One Time Password, 일회용 비밀번호) 등을 이용한 인증시스템 - 3 - 활용, 거래내용에 대한 알림 문자 전송, 보험 가입 등 보호조치를 사전에 구축하지 아 니하는 등 선량한 관리자의 주의의무를 게을리함으로써 해커가 원고의 이 사건 계정에 침입하여 그곳에 있던 암호화폐를 인출해 가는 사고가 발생하였고, 그로 인해 원고는 그에 상응하는 원화 상당의 손해를 입었다. 따라서 피고는 원고가 입은 손해를 배상할 의무가 있다. 나. 피고는 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’)에 따른 정보통신서비스의 제공자로서 이용자의 정보보호를 위하여 각종 인증수단을 동원 하여 의도하지 않은 접속이나 거래로부터 고객의 정보를 보호할 의무가 있음에도 위 가.항에서 주장한 바와 같은 내용의 정보통신망법 상 주의의무를 게을리함으로써 발생 한 원고의 손해를 배상할 의무가 있다. 다. 손해배상청구 금액은 1.72964646 BTC를 원화로 환산한 11,004,875원이다. 3. 판단 살피건대, 앞서 본 증거, 을 제2 내지 6, 11호증(가지번호 있는 경우 가지번호 포함) 의 각 기재 및 변론 전체의 취지에 의하여 인정되는 다음과 같은 사실 및 사정을 종합 하면, 피고가 암호화폐 거래소로서 이를 이용하는 원고의 계정을 해킹 등으로부터 보 호할 선관주의의무(민법 제374조) 또는 정보통신망법상 주의의무를 다하지 못하였다고 인정하기 부족하고, 달리 이를 인정할 증거가 없다. 1) 가. 원고의 회원정보 유출이 피고의 개인정보처리시스템 등의 관리 부실로 발생하였 다고 인정할만한 증거가 없다. 현재까지도 이 사건 거래 당시 해커로 추정되는 성명불 상자가 어떠한 방법으로 원고의 개인정보를 취득하여 이 사건 계정에 로그인하였는지 1) 선관주의의무위반으로 인한 손해배상책임의 발생에 관하여는 입증책임의 전환에 관한 명문의 규정이 없는 이상 손해배상책임 을 주장하는 원고에게 그 입증책임이 있음이 당연하므로, 입증책임이 전환된다는 취지의 원고의 주장은 이유 없다. - 4 - 정확하게 알 수 없는바, 피고의 B 관리와 무관하게 원고의 휴대폰이 해킹당하거나 복 제당하여 원고의 개인정보가 제3자에게 유출되었을 가능성도 배제하기 어렵다. 나. 피고는 2018. 12. 27. ****으로부터 정보통신망법 상 정보보호 관리 체계가 적합하다는 인증을 받았고, 그 이후로도 2019년, 2020년에 걸쳐 매년 한국인터 넷진흥원으로부터 정보보호관리체계(ISMS)를 심사받고 그에 대한 ‘인증 유지’ 결과를 통보받은바, 피고가 정보통신망법 상 정보보호조치를 미흡하게 하였다고 볼만한 정황 은 확인되지 아니한다. 다. 이 사건 거래 당시 성명불상자는 해외에 소재한 IP 주소(생략)로 접속한 것으로 보인다. 이와 관련하여 피고가 해외 IP 접속차단 등 정보통신서비스 제공자로서 기대되 는 최소한의 거래 안전장치를 갖추지 아니하였는지에 관하여 살펴보면, 해외 IP의 접속 을 차단하는 것이 이 사건 거래 당시 대한민국 법률 상 보호대상 자산이 아닌 암호화 폐 등의 거래를 주선하는 피고의 영업에 대하여 법령상 부과된 의무는 아니고, 해외 IP 접속 차단이 익명의 모든 거래참여자에 의한 거래를 그 근본적 성격으로 하는 암호화 폐 거래의 속성에 비추어 피고 측에서 사전에 불법에 관련되어 있다고 구체적으로 인 지한 경우가 아닌 한 해외 IP 접속에 대하여 일반적으로 해외 IP 차단의무가 있다고 볼 수도 없으며, 피고의 거래소와 같은 영업에 있어 특정한 거래 안전장치가 일반적 거래관행으로 자리 잡았다는 입증도 없다. 따라서 피고가 평소와 해외 IP 주소를 통한 이용자의 접속을 막지 않았다고 하여 보호의무를 다하지 못한 것으로 보기는 어렵다. 라. 나아가 이 사건 거래 당시 성명불상자는 2019. 4. 18. 22:35경 B에 원고 명의로 로그인한 후 실패 없이 출금에 성공하였는데, 이는 성명불상자가 원고의 ID와 비밀번 호 및 구글 OTP번호까지 모두 정확하게 입력했다는 것을 의미한다. 이러한 상황이라 - 5 - 면 피고 측에서도 이 사건 거래 행위를 해킹에 의한 비정상적인 거래로 인지하기는 어 려웠을 것으로 보인다. 2) 마. 또한 피고가 암호화폐 거래소를 운영함에 있어서 고객의 출금요청이 있는 경우 문자메세지를 통하여 거래내역을 통지하는 등의 보안시스템을 갖추어야 한다거나 고객 들의 해킹 피해에 대비한 보험에 가입하여야 할 법적 의무가 있다고 볼만한 근거는 없 다. 3) 4. 결론 그렇다면 원고의 이 사건 청구는 이유 없어 기각하여야 한다. 제1심 판결은 이와 결 론을 같이하여 정당하므로 원고의 항소는 이유없어 이를 기각하기로 하여 주문과 같이 판결한다. 재판장 판사이준영 판사장성신 판사박관형 2) 원고는, 피고가 로그인 시에만 OTP를 활용한 보호조치만을 취하였을 뿐 이후 암호화폐를 출금하기 전에는 휴대전화를 이용 한 ARS 인증이나, OTP 입력 등 추가 인증절차를 거치지 아니하였다고 주장하나, 이 사건 거래에는 원고가 원고의 계정 대해 설정한 비밀번호와 원고가 개별적으로 발급받은 구글 OTP가 생성한 임시번호가 사용된 것으로 보인다. 나아가 원고는 구글 OTP를 안전성에 하자가 있는 불완전한 인증 수단이라는 취지로도 주장하나, 이를 인정할 증거가 없다. 3) 을 제10호증의 기재에 의하면, 피고는 2018. 8. 23. ****의 개인정보누출배상책임보험에 가입하였다.